फ़ॉर्मेट को समझना

एक प्रोफ़ाइल की संरचना कैसी होती है, और इसे एकल स्रोत से व्युत्पन्न कई फ़ॉर्मेट में क्यों प्रकाशित किया जाता है।

एक स्रोत, अनेक रेंडरिंग

प्रत्येक प्रोफ़ाइल का एक एकल सत्य-स्रोत होता है, जो स्कीमा के विरुद्ध मान्य होता है। प्रत्येक प्रकाशित फ़ॉर्मेट (Machine, Human, AI/RAG, YAML) उसकी एक पुनरुत्पादनीय रेंडरिंग है — कभी भी हाथ से नहीं लिखी गई। यह गारंटी देता है कि कोई विचलन नहीं होगा ("zero drift"): स्रोत को ठीक करने पर सभी रेंडरिंग पुनः उत्पन्न हो जाती हैं।

source → machine.jsonhuman.mdrag.mdfiche.yaml

प्रकाशित फ़ॉर्मेट

machine.json · टूल और पाइपलाइन के लिए

Machine (JSON)

प्रोफ़ाइल का पूर्ण संरचित प्रतिनिधित्व, स्कीमा के प्रति विश्वस्त। स्वचालन और प्रोग्रामेटिक इंजेशन के लिए बनाया गया।

human.md · पाठकों के लिए

Human (Markdown)

चुनी हुई भाषा में पठनीय रेंडरिंग (नियम तालिकाएं, थ्रेट मॉडल, स्रोत)। यही आप एक प्रोफ़ाइल पृष्ठ पर पढ़ते हैं।

rag.md · LLM के लिए

AI / RAG (Markdown)

रिट्रीवल-ऑगमेंटेड जनरेशन (RAG) के लिए अनुकूलित संस्करण: संक्षिप्त नैरेटिव, ग्राउंडिंग के लिए MITRE और थ्रेट मॉडल उभारे गए।

fiche.yaml · संग्रह और समीक्षा के लिए

YAML

स्रोत का कैनोनिकल YAML निर्यात, CC-BY-4.0 के अंतर्गत। पठनीय, diff-योग्य, सत्यापन-योग्य।

एक प्रोफ़ाइल की संरचना

पहचानकर्ता और गणनाएं कोड हैं (snake_case, कभी अनुवादित नहीं)। केवल गद्य (title, description, rationale) बहुभाषी है।

फ़ील्ड	उद्देश्य
schema_version	इंजेशन अनुबंध (स्कीमा) संस्करण। सामग्री संस्करण से भिन्न।
id	स्थिर प्रोफ़ाइल पहचानकर्ता (snake_case)।
version	प्रोफ़ाइल सामग्री का सेमांटिक संस्करण।
trust_tier	Trust tier: community \| reviewed \| verified।
title / description	बहुभाषी गद्य ({fr, en}) — क्या और क्यों।
mitre_attack[]	लेखक-निर्धारित MITRE ATT&CK तकनीकें (कभी अनुमानित नहीं)।
threat_model	सारांश, हमलावर का लक्ष्य, मुख्य नियंत्रण — मानव विशेषज्ञता।
rules[]	नियम: एप्लिकेशन (L7), ज़ोन, कार्रवाई, सुरक्षा प्रोफ़ाइल, डिक्रिप्शन, लॉगिंग।
references[]	प्रोवेनेंस: एकमात्र स्थान जहां कोई vendor/उत्पाद और उसका आधिकारिक URL प्रकट हो सकता है।

Trust tier

प्रत्येक प्रोफ़ाइल एक trust tier वहन करती है, जिसे डाउनस्ट्रीम इंजनों द्वारा इंजेशन के समय भारित किया जाता है। यह पॉइज़निंग के विरुद्ध रक्षा की पहली पंक्ति है।

community असमीक्षित योगदान।

reviewed एक अनुरक्षक द्वारा समीक्षित।

verified किसी आधिकारिक स्रोत द्वारा सत्यापित।

सिद्धांत

▸Vendor-agnostic: नियामक सामग्री किसी ब्रांड का नाम नहीं लेती (हम L7 एप्लिकेशन की पहचान करते हैं, किसी उत्पाद की नहीं)।
▸गणनाएं snake_case में, कभी अनुवादित नहीं; केवल गद्य बहुभाषी है।
▸गणनाएं एक साझा नियंत्रण वर्गीकरण से संबंधित हैं।
▸सामग्री CC-BY-4.0 के अंतर्गत; योगदान DCO के माध्यम से प्रमाणित (git commit -s)।